AWS Control Tower에서 "A managed SCP was attached, deleted, detached, or modified" 오류를 해결하려면 어떻게 해야 합니까?

간략한 설명

AWS Control Tower 콘솔에 다음 오류 메시지가 표시됩니다.

"A managed SCP was attached, deleted, detached, or modified on the OU Security (ou-xyzzxy). This action has compromised the shared accounts and their functionality. For example, the log archive and audit accounts may no longer be working because their permissions have changed.

Until you fix this problem, you cannot view or manage your AWS Control Tower landing zone. Provisioning new accounts is not recommended, because logging and auditing may not be functioning."

위의 오류 메시지는 AWS Control Tower의 다중 계정 환경에서 SCP를 수정할 때 발생합니다. 조직의 요구 사항에 맞게 SCP를 사용자 지정할 수 있지만, AWS Control Tower가 관리하는 SCP를 수정하면 governance drift(거버넌스 드리프트)가 발생합니다. 보안 OU에 연결하는 SCP는 드리프트를 시작할 수 있습니다. 관리형 SCP에는 aws-guardrails로 시작하는 식별자가 있습니다.

참고: 보안 OU(Security OU)의 이전 명칭은 코어 OU(Core OU)입니다.

해결 방법

랜딩 존 재설정 또는 업데이트

이 문제를 해결하려면 랜딩 존을 재설정하거나 업데이트하여 드리프트된 리소스를 저장된 AWS Control Tower 구성으로 복원하십시오. 재설정 작업은 매니페스트 파일에 정의된 마지막으로 알려진 구성으로 랜딩 존을 복원하고, 활성화된 컨트롤을 바탕으로 올바른 SCP를 다시 배포합니다. 자세한 내용은 AWS Control Tower에서 드리프트 감지 및 해결을 참조하십시오.

(선택 사항) 드리프트의 원인 파악

SCP 수정을 시작한 작업 또는 사용자를 식별하려면 AWS CloudTrail에서 이벤트 기록을 조회하십시오.

다음 API 이벤트를 검색합니다.

• DeletePolicy
• AttachPolicy
• UpdatePolicy
• DetachPolicy
• DisablePolicyType

참고: 90일을 초과한 API 이벤트를 검토하려면, AWS Organizations 관리 계정의 미국 동부(버지니아 북부) AWS 리전에 있는 CloudTrail 트레일 로그를 쿼리하십시오. 자세한 내용은 AWS Organizations용 AWS CloudTrail API 직접 호출 로깅을 참조하십시오.